远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2014:0112 公告中提及的多个漏洞的影响。

    openstack-nova 程序包提供了 OpenStack Compute (nova)，后者可为置备、管理和使用虚拟机实例提供服务。

    已发现在 nova.conf 文件中启用 qpid_protocol = ssl 不会导致 nova 使用 SSL 与 Qpid 通信。如果 Qpid 未配置为执行 SSL，这可能导致敏感信息以未加密的方式通过通信信道发送。 (CVE-2013-6491)

    在 OpenStack 计算控制磁盘映像大小的方式中发现一个缺陷。经认证的远程用户可能使用恶意的 qcow2 压缩磁盘映像消耗大量磁盘空间，可能造成 OpenStack 计算节点拒绝服务。 (CVE-2013-4463)

    Red Hat 在此感谢 OpenStack 项目报告 CVE-2013-4463。上游感谢 SuSE 的 Bernhard M. Wiedemann 为此问题的原始报告者。

    此更新还修复以下缺陷：

    * 当使用 GroupAntiAffinityFilter 时，计划程序未过滤组中的实例，如果在启动时指定了组，这可导致完全不计划实例。通过此修复，系统会考虑群组并按预期计划实例。 (BZ#1014948)

    * 如果使用者之前未创建交换，则发布者会因为找不到指定的交换而崩溃。
    这是由于 Qpid 的直接发布者使用了错误的交换类型“Direct”所致。借助此补丁，发布者中的交换类型已更改为“定向”。 (BZ#1042055)

    * Qpid 使用线程中存在未处理的错误，可能以静默方式将其终止，并将组件与系统的其余部分隔离。为修复此问题，通过确保其不会因未处理的错误而终止，提高了使用线程对错误的弹性。计算现在记录错误并重试使用线程。 (BZ#1050213)

    建议所有 openstack-nova 用户升级这些更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 6：openstack-nova (RHSA-2014:0112)

high Nessus 插件 ID 234390

未找到变更日志